CVE-2026-97702 in Open edX Platform
Tóm tắt
Bởi VulDB • 05/11/2026
Nền tảng Open edX cho phép tạo nội dung và cung cấp các khóa học trực tuyến ở mọi quy mô. Từ bản phát hành Ulmo đến release/ulmo.4 và release/verawood.1, điểm cuối GET /api/support/v1/manage_course_team/ trong CourseTeamManageAPIView chỉ yêu cầu xác thực IsAuthenticated mà bỏ qua kiểm tra ủy quyền vai trò hỗ trợ toàn cầu (global support-role authorization check) dự kiến cho bề mặt ứng dụng này của bộ phận hỗ trợ kỹ thuật. Bất kỳ người học nào đã được xác thực đều có thể cung cấp email, tên đăng nhập hoặc user_id của một mục tiêu tùy ý và sử dụng sự khác biệt giữa phản hồi 200 và 404 để phân biệt tài khoản đang hoạt động với tài khoản không tồn tại hoặc không hoạt động. Một caller đóng vai trò giảng viên ở mức khóa học hoặc tổ chức cũng có thể thu được thông tin về việc chỉ định staff (nhân viên) hoặc instructor (giảng viên) của người dùng mục tiêu trong phạm độ khóa học hoặc tổ chức mà caller đó sở hữu. Các caller ẩn danh vẫn bị chặn, và hành vi PUT được ủy quyền riêng biệt nằm ngoài phạm vi lỗ hổng này. Vấn đề này đã được sửa chữa trong release/ulmo.4 và release/verawood.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.